Pesquisa mostra que injeção de memória persistente compromete ChatGPT, Claude e Gemini entre sessões

O trabalho, de Pedro H. Barcha Correia e coautores, parte de uma limitação que historicamente continha o dano de ataques de prompt injection e jailbreak: em chatbots tradicionais sem estado persistente, a manipulação ficava confinada a uma única sessão, encerrando-se quando a conversa terminava. A adição de memória persistente entre sessões — recurso hoje presente nas principais plataformas de LLM como serviço — rompe essa contenção, criando o que os autores chamam de “injeção de memória”: um vetor em que uma instrução maliciosa plantada em uma conversa ou documento é armazenada como memória de longo prazo e volta a influenciar o comportamento do modelo em sessões futuras, inclusive sessões completamente novas e aparentemente “limpas”.

Tecnicamente, os autores mapeiam múltiplos pontos de exploração além da memória pessoal propriamente dita: projetos, habilidades/skills configuradas pelo usuário, instruções em nível organizacional e recursos conectados via Model Context Protocol (MCP) também podem servir como vetores de persistência para a injeção. Isso amplia significativamente a superfície de ataque, já que qualquer integração que alimente contexto duradouro ao modelo passa a ser um candidato a vetor de propagação. Os pesquisadores demonstraram que, sob esse modelo de ameaça geral, todos os objetivos de ataque definidos pelo framework do NIST são coletivamente alcançáveis nas três plataformas avaliadas — incluindo disseminação persistente de desinformação, geração de conteúdo nocivo e simulação de indisponibilidade do serviço mesmo em sessões novas.

O achado mais grave do estudo é específico do Claude: os autores mostram que, quando uma organização usa recursos de memória compartilhada, um atacante pode comprometer múltiplos usuários dentro dessa organização a partir de um único ponto de injeção, e ainda exfiltrar prompts de outros usuários — ou seja, a conveniência de compartilhar contexto entre membros de uma equipe se transforma em um canal lateral de movimento e exfiltração dentro do ambiente corporativo, um padrão de risco que lembra escalonamento de privilégios lateral em redes tradicionais, mas aplicado à camada de memória de um assistente de IA.

Na prática, esse resultado importa porque memória persistente deixou de ser um recurso experimental e já é vendida como diferencial competitivo entre provedores de LLM como serviço, exatamente o tipo de funcionalidade que empresas estão habilitando por padrão para melhorar a experiência do usuário. Os próprios autores derivam mecanismos de defesa a partir do modelo de ameaça proposto e constatam que quase metade dessas mitigações ainda não está implementada nos serviços avaliados, o que indica uma janela real de exposição em produção, não apenas um risco teórico — e reforça que arquiteturas de memória e MCP precisam de isolamento e validação de proveniência tão rigorosos quanto os já exigidos para entradas de usuário em uma única sessão.